如何查看AWS请求的实际request context以调试策略条件？

CloudTrail的事件记录仅提供API调用的审计快照，无法完整展示IAM策略条件判断所需的全部请求上下文信息。针对Lambda发起S3下载请求这类场景，可通过以下几种方式获取完整请求上下文：

1. 在Lambda代码中打印请求元数据 #

使用AWS SDK时，启用调试日志或手动输出请求相关的上下文信息，能直接看到IAM条件判断涉及的键值对（如aws:PrincipalArn、aws:SourceIp等）。以Python的boto3为例：

import boto3
import logging

# 开启DEBUG级别日志，输出请求细节
logging.basicConfig(level=logging.DEBUG)

def lambda_handler(event, context):
    s3_client = boto3.client('s3')
    # 发起S3下载请求
    s3_client.get_object(Bucket='your-target-bucket', Key='your-object-key')
    return {'statusCode': 200}

执行后，Lambda日志中会包含请求签名过程中的上下文参数，对应IAM策略条件里可用的键。

2. 启用S3服务器访问日志 #

对于S3对象操作请求，启用服务器访问日志后，日志会记录请求的完整上下文信息，包括发起请求的角色ARN、源IP、请求时间等。操作步骤：

• 进入目标S3桶的控制台页面
• 切换到「属性」标签，找到「服务器访问日志」
• 配置日志存储的目标桶（需与当前桶不同）并启用
  日志条目会包含x-amz-request-id、user-agent、发起请求的身份标识等字段，这些字段对应IAM条件中的标准键。

3. 使用IAM Access Analyzer模拟请求 #

通过IAM Access Analyzer的「模拟访问」功能，模拟Lambda角色发起S3下载请求，可直接查看请求上下文中包含的所有条件键及对应值：

• 进入IAM控制台的「Access Analyzer」页面
• 选择「模拟访问」，填入Lambda的角色ARN、S3的操作（如s3:GetObject）及资源路径
• 执行模拟后，结果会展示该请求触发的IAM条件判断逻辑，以及上下文键值对

4. 用AWS X-Ray跟踪请求链路 #

启用X-Ray对Lambda和S3的跟踪后，可在X-Ray控制台查看请求的完整链路，其中包含请求的元数据和上下文信息：

• 为Lambda函数开启X-Ray跟踪（在函数配置中启用「Active tracing」）
• 发起S3下载请求后，进入X-Ray控制台查看跟踪详情
• 在「请求详情」中可找到身份信息、源IP等上下文属性

注：CloudTrail的事件记录适合审计API调用行为，但无法替代上述方法获取完整的请求上下文用于IAM策略调试。

内容的提问来源于stack exchange，提问作者user3463521